CVE-2025-11981

ŚrednieCVSS 4.9

Opublikowano: 14/11/2025(UTC)Zaktualizowano: 07/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.31%

Percentyl 22 - wyżej niż 22% wszystkich znanych CVE

Streszczenie

Wtyczka School Management System – WPSchoolPress dla WordPressa jest podatna na SQL Injection przez parametr 'SCodes' we wszystkich wersjach do 2.2.23 włącznie. Podatność wynika z niedostatecznego escapowania parametru i braku odpowiedniego przygotowania zapytania SQL. Umożliwia to uwierzytelnionym atakującym z dostępem administratora i wyższym dodawanie dodatkowych zapytań SQL w celu wyodrębnienia wrażliwych informacji z bazy danych.

Ocena ryzyka

Atakujący z uprawnieniami administratora może wyodrębnić wrażliwe dane z bazy danych, takie jak hasła czy dane użytkowników. Może to prowadzić do naruszenia poufności danych i dalszych ataków.

Rekomendacja

Należy natychmiast zaktualizować wtyczkę do najnowszej wersji, która zawiera poprawki zabezpieczające. Zaleca się również ograniczenie uprawnień administratora i monitorowanie logów pod kątem podejrzanych działań.

Inne podatności w WPSchoolPress

CVE-2026-39631Średnie
Wtyczka WPSchoolPress dla WordPressa zawiera brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji do 2.2.35 włącznie.

Oryginalny opis (angielski, źródło NVD)

The School Management System – WPSchoolPress plugin for WordPress is vulnerable to SQL Injection via the 'SCodes' parameter in all versions up to, and including, 2.2.23 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for authenticated attackers, with administrator-level access and above, to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS